Dans Fedora 44, on prévoit d'activer la vérification des paquets par signature numérique dans RPM.

Dans la version de Fedora Linux 44, prévue pour le printemps 2026, il est prévu d'inclure par défaut la vérification des paquets par signature numérique dans RPM. Si le plan est approuvé par le comité FESCo (Fedora Engineering Steering Committee), qui est responsable de la partie technique du développement de Fedora Linux, seuls les paquets avec une signature numérique valide pourront être installés par défaut. En cas de besoin d'installation manuelle des paquets, il sera possible de contourner la vérification en lançant explicitement RPM avec l'option « --nosignature » ou en désactivant la vérification via l'utilisation de l'API correspondante.

La fonctionnalité de vérification des paquets par signature numérique a été implémentée dans le gestionnaire de paquets RPM 6.0, mais dans Fedora 43, malgré la transition vers RPM 6, seule la vérification de l'intégrité par hachage continue d'être utilisée au niveau de RPM, tandis que l'authenticité des paquets des dépôts est vérifiée au niveau des gestionnaires de paquets de haut niveau YUM et DNF, où la possibilité de vérification par signatures numériques a été initialement mise en place et est activée par défaut. Maintenant, une telle vérification est prévue d'être mise en œuvre au niveau de RPM. Si le changement est approuvé dans Fedora 44, lors de l'installation de paquets via RPM, tant la vérification de l'intégrité par hachage que la vérification de l'authenticité par signature numérique, validée par la clé de l'assemblage du paquet, seront effectuées.

Lors de la tentative d'installation de paquets sans signature ou avec une signature incorrecte, une erreur sera affichée par défaut, à moins que l'utilisateur n'ait explicitement lancé rpm avec l'option « --nosignature ». Pour travailler avec les dépôts externes qui ne génèrent pas de signatures numériques, le gestionnaire de paquets DNF 5.2.14.0 a ajouté la possibilité de désactiver sélectivement la vérification dans RPM en lien avec des paquets spécifiques. Cette fonctionnalité est intégrée dans l'outil Mock (mock-core-configs) pour travailler avec de nouveaux assemblages de paquets. Un plugin a également été ajouté dans Mock pour générer des signatures pour les paquets assemblés localement, et dans le service Copr (Community projects), la possibilité de générer automatiquement des signatures a été mise en œuvre.

On peut également noter l'annonce de la date de sortie de Fedora 43, qui aura lieu le 28 octobre.

Source : opennet.ru